Kapag Kailangang Maging Gateway ng Sangay ang Kliyente ng Malalayong Pag-access

Ang isang laptop na konektado sa VPN ay nakakaabot sa punong-tanggapan. Hindi ito kayang gawin ng printer at file server sa parehong mesa, dahil walang nagpapasa ng kanilang mga packet papasok sa tunnel o nagdadala pabalik ng mga tugon. Ang gawing gateway ng sangay ang kliyente ay desisyon sa pagruruta at pagmamay-ari bago maging desisyon sa pagsasaayos. Hindi sinasagot ng pangalan ng protocol sa kahon kung sinusuportahan ang papel na iyon.

Ang hindi sinasabi ng label ng protocol

OpenVPN ay nagdodokumento ng disenyong site-to-site kung saan ang isang connector ay nagpapasa ng buong subnet, at ipinapatupad ito ng Access Server sa pamamagitan ng papel na gateway at tahasang pagruruta. Ang ibang produktong ibinebenta bilang SSL VPN ay maaaring maglantad lamang ng mga function para sa malayong user, na walang suportadong paraan upang i-anunsyo ang network sa likod ng kliyente. Mahalaga rin ang bersyon, dahil ang feature na nasa isang release ay hindi pangako para sa iba. Basahin ang implementasyong aktuwal mong pinapatakbo, at ituring na pahiwatig lamang ang recipe na isinulat para sa ibang produkto, hindi bilang disenyo.

Ang tanong na dapat munang ayusin ay kung sinusuportahan man ng may-ari ng VPN ang papel ng pagpapasa. Kung hindi, walang dami ng pagruruta sa panig ng kliyente ang makapagsusuporta nito.

May dalawang panig ang kasunduan: sangay at punong-tanggapan

Sa panig ng sangay, isang host ang may-ari ng pagpapasa, pag-filter, at pagbawi. Kailangan nito ng sinadyang landas mula sa bawat device ng sangay, at ang panlabas na koneksyon ng VPN ay dapat manatiling maabot sa pamamagitan ng pinagbabatayang network kahit nakababa ang tunnel. Sa panig ng punong-tanggapan, may dapat magtakda ng subnet ng sangay, tumanggap sa pagkakakilanlan ng gateway, at magpahintulot ng partikular na mga resource. Hindi gumagana nang mag-isa ang alinmang kalahati.

Ang return path ang bahaging madalas laktawan. Ang tunnel address ng kliyente ay hindi nag-aanunsyo ng subnet sa likod nito, kaya kailangan ng mga router ng punong-tanggapan ng ruta na nakaturo sa VPN gateway para sa prefix na iyon.

Sa routed na disenyo, ang concentrator ay nagpapasa ng mga packet para sa prefix ng sangay at alam ng upstream LAN routing kung paano magpadala ng mga tugon pabalik dito. Sa translated na disenyo, ang source na nakikita ng punong-tanggapan ay muling isinusulat, na maaaring mag-alis ng pangangailangan sa isang return route habang itinatago kung aling makina ng sangay ang nagpadala ng trapiko. Ang kompromisong iyon ay dapat nasa dokumento ng disenyo, dahil nawawala ang pagkakakilanlan ng bawat device sa mga log ng application at alituntunin sa pag-access kapag may translation.

Routed o translated: piliin ang return path nang sinasadya

Piliin ang routed kapag mahalaga ang pagkakakilanlan ng bawat device at patakaran ng bawat host at kayang panatilihin ang return route sa bawat kaugnay na router.

Piliin ang translated kapag hindi ka makakapagdagdag ng ruta ngunit matatanggap mo na isang source address lang ang nakikita ng punong-tanggapan. May mga pinaghalong disenyo at mas mahirap silang unawain, kaya isulat kung aling prefix ang routed at aling translated. Pagkatapos, i-verify ang pinili sa pamamagitan ng capture sa magkabilang dulo sa halip na magtiwala sa status ng tunnel.

Ang kapaki-pakinabang na pagsusuri ay asymmetric: humiling ng resource mula sa device ng sangay, pagkatapos ay tiyaking lumalabas ang tugon mula sa punong-tanggapan patungo sa prefix ng sangay. Ang traceroute -n 10.60.4.20 mula sa host ng punong-tanggapan ay nagpapakita kung dumadaan ang landas na iyon sa VPN gateway.

Patakbuhin ito na parang imprastraktura, hindi login

Magpasya kung paano magsisimula, magpapatunay, mag-a-update, at makakabawi ang gateway kapag walang naka-log in. Ang pag-renew ng credential, mga prompt na multifactor, gawi sa pagtulog, at kung sino ang tutugon kapag nawalan ng access ang sangay, lahat ay nagiging tanong sa operasyon. Ang ilang taong gumagamit ng isang landas ng network ay hindi dapat magmana ng personal na pribilehiyo ng user ng gateway, kaya kailangan ng may pangalan na may-ari ang awtorisasyon ng resource, saklaw ng pag-log, at patakaran sa pagkabigo. Ang pagbabahagi ng account upang maiwasan ang per-device na enrollment ay hindi disenyo.

Ihambing ang kaayusan sa isang suportadong site gateway sa ilalim ng parehong mga pangangailangan bago magpasya. Ang muling paggamit ng lumang desktop ay hindi nag-aalis ng maintenance o recovery na trabaho, at hindi inilalarawan ng presyong second-hand ang gastos sa pagpapatakbo.

I-validate ang nilalayong mga application ng sangay, ang kanilang return traffic, at isang tinanggihang destinasyon sa ilalim ng aprubadong plano. Ang tagumpay ay mukhang isang pag-aaring serbisyo ng network na may nakapangalang pagkakakilanlan ng sangay at tahasang patakaran, hindi isang bintana ng kliyente na nagsasabing Connected.